「DMARCは対応しましたか？」ほんの数年前まで、この質問を耳にするのは一部のメール担当者やセキュリティ担当者くらいでした。しかし今、状況は大きく変わりつつあります。Googleは2024年からGmail向けの送信者ガイドラインを強化し、大規模送信者に対してDMARC対応を求めています。さらにMicrosoftも同様の方向へ舵を切り、メール送信における認証要件は世界的に強化されています。いまやDMARCは単なるセキュリティ対策ではなく、「メールを確実に届けるための基盤」になりつつあります。

しかし、本当に注目すべき変化はDMARCそのものではありません。Googleが進めているのは、メールだけの話ではなく、「認証された主体が信頼されるインターネット」への移行です。そして、その流れは私たちが過去に経験したHTTPS普及への変遷と驚くほどよく似ています。

 

HTTPS普及から見える、Googleの「信頼性の標準化」

10数年前、多くのWebサイトはHTTPで運用されていました。SSL/TLS証明書によるHTTPS化は推奨されていたものの、「一部の先進的な企業が導入している取り組み」という位置付けでした。ところがGoogle Chromeは段階的に方針を強化します。

その結果、現在ではWeb通信の大半がHTTPSとなり、もはやHTTPSは特別な対策ではなく当たり前のインフラとなっています。振り返れば、かつて議論されていたのは「SSL/TLS証明書を導入すべきか」でした。しかし現在では、「SSL/TLS証明書がないサイトは存在してはならない」という世界になっています。

メールでも始まっている「信頼性の標準化」

Webの世界で起きたことを整理すると、次のようになります。

フェーズ	状態	到達点
第1段階	通信できれば良い	HTTPが標準
第2段階	通信を暗号化する	HTTPSの普及
第3段階	安全な通信を標準化する	HTTPSが事実上必須になる

そしてメールの世界でも同じ流れが進んでいます。

フェーズ	方針	到達点
第1段階	送信者を認証する	SPF・DKIMの普及
第2段階	送信ドメインの正当性を証明する	DMARCの普及
第3段階	認証済み送信者を標準化する	Google・Microsoft等による認証要件強化

これは単なるメールセキュリティの話ではありません。GoogleがWebで推進した「信頼できる通信の標準化」が、メールでも始まったと考えることができます。

DMARCが「推奨設定」から「事業継続の課題」になった理由

以前のDMARCは、

という位置付けでした。 しかし現在は状況が異なります。Googleをはじめとする主要メール事業者は送信者認証要件を強化しており、認証要件を満たさないメールは迷惑メール判定や配信障害のリスクが高まります。つまり企業にとってDMARCは、「導入することで安全性向上が期待できる技術」ではなく、「導入しなければビジネスに影響する可能性のある技術」へ変化しています。

こうした問題は、今やセキュリティ部門だけの課題ではなく、マーケティングや経営そのものの課題になりつつあります。

企業の対応はどこまで進んでいるのか

DMARCの導入自体は広がりつつあります。一方で、多くの企業では

という状況も少なくありません。 DMARCを導入すると、まずは正規メールの洗い出しやSPF・DKIMの整備が必要になります。特に複数のメール配信サービスを利用している企業では、

など、想定以上に多くの送信元が存在します。そのため、「DMARCは設定したが、ポリシー強化まで進められない」という企業も少なくありません。現在は、「DMARCを導入しているか」ではなく、「DMARCを正しく運用できているか」が問われるフェーズに入りつつあります。

DMARCの先にある「見える認証」

しかしDMARCには1つ大きな課題があります。受信者から見えないことです。DMARCはメールの真正性を裏側で判定しますが、受信者はその結果を直感的に理解できません。そこで登場するのがBIMIです。BIMI（Brand Indicators for Message Identification）は、認証されたメールに企業ロゴを表示する仕組みです。そして、そのBIMIを支えるのがVMC（Verified Mark Certificate）です。 VMCは、

を第三者が証明する電子証明書です。言い換えると、DMARCが「メールの身元証明」であるなら、VMCは「ブランドの身分証明書」と言えるでしょう。

VMCの価値はロゴ表示だけではない

VMCというと、「メールにロゴが表示される仕組み」として紹介されることが多くあります。もちろんそれも重要な価値です。しかし本質はそこだけではありません。VMCには大きく3つの価値があります。

セキュリティ面

受信者が正しい送信者を視覚的に確認できるため、なりすましメールへの耐性向上につながります。

ブランド面

企業ロゴを通じて、信頼性やブランド認知を高めることができます。

マーケティング面

受信トレイの中で視認性が向上し、メールマーケティング施策の効果向上が期待できます。

つまりVMCは単なるメール装飾機能ではなく、「企業ブランドをデジタル上で証明する仕組み」として捉えるべきものです。

VMCは次の標準になるのか

ここで誤解してはいけないのは、現時点でVMCが必須要件になっているわけではないということです。しかしGoogleはこれまで、

と段階的に信頼性向上を推進してきました。その流れを踏まえると、今後さらにブランド認証や可視化された信頼性が重視される可能性は十分にあります。

10数年前、「HTTPS対応サイト」は先進的でした。しかし現在は、「HTTPS非対応サイト」の方が極めて珍しくなっています。同様に、今後は「DMARC/VMC導入企業」が特別なのではなく、「DMARC/VMC未導入企業」の方が例外と見なされる時代に近づいていくでしょう。

そしてその先には、送信者認証だけでなく、ブランド認証まで求められる時代が来るかもしれません。将来的には、認証済みロゴが表示されたメールが一般的になり、受信者が送信者を視覚的に確認することが当たり前になる可能性があります。その世界では、「メールが届くこと」だけでなく、「正しい送信者として信頼されること」が重要になります。VMCは、その変化を見据えた取り組みと言えるでしょう。

今、企業が準備すべきこと

メールの信頼性を高めるために必要なのは、いきなりVMCを導入することではありません。まずは基盤を整備することが重要です。

DMARCはゴールではありません。DMARCは、認証されたメール社会への入口です。HTTPSがそうであったように、信頼性はやがて「あれば良いもの」から「前提条件」へと変わります。メールの世界でも同じ変化が始まっています。送信元の正当性が確認され、その主体が信頼できることが前提となる時代です。BIMIやVMCは、その信頼を受信者に分かりやすく伝えるための仕組みの一つと言えるでしょう。将来を見据え、まずはDMARCの運用状況を見直し、その先にある「認証された主体が信頼されるインターネット」への準備を進めることが重要です。